The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  вход/выход  слежка  RSS
"Закрыть сайт ACL-ом"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Маршрутизаторы CISCO и др. оборудование. (ACL, фильтрация и ограничение трафика)
Изначальное сообщение [ Отслеживать ]

"Закрыть сайт ACL-ом"  +/
Сообщение от Figabra email(??) on 12-Дек-08, 09:35 
Приветствую!
Есть Cisco 2811 adventerprisek9-mz.124-13.bin, стояла задача закрыть вконтакте.ру. Нарисовал такой ACL:

ip access-list extended deny-vkontakte
deny   ip any host 93.186.224.239
deny   ip any host 93.186.225.6
deny   ip any host 93.186.225.211
deny   ip any host 93.186.225.212
deny   ip any host 93.186.226.4
deny   ip any host 93.186.226.5
deny   ip any host 93.186.226.129
deny   ip any host 93.186.226.130
deny   ip any host 93.186.227.123
deny   ip any host 93.186.227.124
deny   ip any host 93.186.227.125
deny   ip any host 93.186.227.126
deny   ip any host 93.186.224.233
deny   ip any host 93.186.224.234
deny   ip any host 93.186.224.235
deny   ip any host 93.186.224.236
deny   ip any host 93.186.224.237
deny   ip any host 93.186.224.238
permit ip any any

ACL отрабатывает нормально.
Вопрос: есть ли более изящный способ, что-то похожее на ASA 5505 (в ней данная задача, реализуется с помощью регулярных выражений)?
Заранее спасибо!

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Закрыть сайт ACL-ом"  +/
Сообщение от usmt on 12-Дек-08, 09:48 
>[оверквотинг удален]
> deny   ip any host 93.186.224.235
> deny   ip any host 93.186.224.236
> deny   ip any host 93.186.224.237
> deny   ip any host 93.186.224.238
> permit ip any any
>
>ACL отрабатывает нормально.
>Вопрос: есть ли более изящный способ, что-то похожее на ASA 5505 (в
>ней данная задача, реализуется с помощью регулярных выражений)?
>Заранее спасибо!

ip urlfilter лучше, но не знаю поддерживает ли ASA

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Закрыть сайт ACL-ом"  +/
Сообщение от Figabra email(??) on 12-Дек-08, 10:04 
>[оверквотинг удален]
>> deny   ip any host 93.186.224.237
>> deny   ip any host 93.186.224.238
>> permit ip any any
>>
>>ACL отрабатывает нормально.
>>Вопрос: есть ли более изящный способ, что-то похожее на ASA 5505 (в
>>ней данная задача, реализуется с помощью регулярных выражений)?
>>Заранее спасибо!
>
>ip urlfilter лучше, но не знаю поддерживает ли ASA

Сделал так:

ip urlfilter exclusive-domain deny vkontakte.ru

Не спасло =(
И еще вопрос: а это ip urlfilter можно вешать на отдельный сабинтерфейс?

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Закрыть сайт ACL-ом"  +/
Сообщение от blank (ok) on 12-Дек-08, 10:40 
>[оверквотинг удален]
>>
>>ip urlfilter лучше, но не знаю поддерживает ли ASA
>
>Сделал так:
>
>ip urlfilter exclusive-domain deny vkontakte.ru
>
>Не спасло =(
>И еще вопрос: а это ip urlfilter можно вешать на отдельный сабинтерфейс?
>

насколько я понял urlfilter привязывается к ip inspect а уже его можно на интерфейс повесить

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Закрыть сайт ACL-ом"  +/
Сообщение от Figabra email(??) on 12-Дек-08, 10:45 
>[оверквотинг удален]
>>Сделал так:
>>
>>ip urlfilter exclusive-domain deny vkontakte.ru
>>
>>Не спасло =(
>>И еще вопрос: а это ip urlfilter можно вешать на отдельный сабинтерфейс?
>>
>
>насколько я понял urlfilter привязывается к ip inspect а уже его можно
>на интерфейс повесить

Вопрос снят =)
Еще раз спасибо за ответы!!!

Кому интересно, вот ссылочка, там все расписано
http://www.cisco.com/en/US/docs/ios/security/configuration/g...

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Закрыть сайт ACL-ом"  +/
Сообщение от Punks email on 12-Дек-08, 11:27 
>[оверквотинг удален]
>>>
>>
>>насколько я понял urlfilter привязывается к ip inspect а уже его можно
>>на интерфейс повесить
>
>Вопрос снят =)
>Еще раз спасибо за ответы!!!
>
>Кому интересно, вот ссылочка, там все расписано
>http://www.cisco.com/en/US/docs/ios/security/configuration/g...

еще как вариант (испытывал буквально вчера)
class-map match-any test
match protocol http host "*vkontakte.ru"
match protocol http host "*odnoklassniki.ru"

policy-map test
class p2p
   drop

int gi0/0.18
service-policy output test


Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Закрыть сайт ACL-ом"  +/
Сообщение от Figabra email(??) on 12-Дек-08, 11:48 
>[оверквотинг удален]
>class-map match-any test
> match protocol http host "*vkontakte.ru"
> match protocol http host "*odnoklassniki.ru"
>
>policy-map test
> class p2p
>   drop
>
>int gi0/0.18
>service-policy output test

Только наверное надо вешать на INPUT, а не на OUTPUT
service-policy input test

и в случае с ip urlfilter, браузер рисует красивую надпись:
HTTP Error 403 - Forbidden
You do not have permission to access the document or program you requested.

Кому как нравится =)
Еще раз спасибо.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Закрыть сайт ACL-ом"  +/
Сообщение от Punks email on 12-Дек-08, 13:55 
>[оверквотинг удален]
>>
>>policy-map test
>> class p2p
>>   drop
>>
>>int gi0/0.18
>>service-policy output test
>
>Только наверное надо вешать на INPUT, а не на OUTPUT
>service-policy input test

на output Тоже работает.

>
>и в случае с ip urlfilter, браузер рисует красивую надпись:
>HTTP Error 403 - Forbidden
>You do not have permission to access the document or program you
>requested.
>
>Кому как нравится =)

а тут вопрос скорее всегоу  кого какой иос.как я понял это фича исоа с фаерволом.
>Еще раз спасибо.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "Закрыть сайт ACL-ом"  +/
Сообщение от Figabra email(??) on 12-Дек-08, 14:06 
>[оверквотинг удален]
>>и в случае с ip urlfilter, браузер рисует красивую надпись:
>>HTTP Error 403 - Forbidden
>>You do not have permission to access the document or program you
>>requested.
>>
>>Кому как нравится =)
>
>а тут вопрос скорее всегоу  кого какой иос.как я понял это
>фича исоа с фаерволом.
>>Еще раз спасибо.

Скорее всего.
На 1811 с IOS c181x-advipservicesk9-mz.124-6.T3.bin работает на input.
1721 например, ip urlfilter не знает.
Кстати у меня была глюкавая кошка, у которой NAT глючило со страшной силой. Начиная с того, что на Loopback и на сабинтерфейс, надо было ставить ip nat inside, иначе не работало. И заканчивая тем, что после cle ip nat tra force приходилось ее релоадить. Глюк был именно в железе.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Закрыть сайт ACL-ом"  +/
Сообщение от frato (ok) on 04-Ноя-16, 14:33 
>  ....
>  match protocol http host "*odnoklassniki.ru"
> policy-map test
>  class p2p
>    drop

Когда делаю блокировку таким способом, появляются ошибки:
MyCisco(config)#class-map match-any schit
MyCisco(config-cmap)#match protocol http host "*vk.com"
MyCisco(config-cmap)#match protocol http host "*ok.ru"
MyCisco(config-cmap)#policy-map schit
MyCisco(config-pmap)#class p2p
% class map p2p not configured
MyCisco(config-pmap)#drop
                      ^
% Invalid input detected at '^' marker.

Другим способом всё получилось. Но хотелось попробовать этот, т.к. здесь фильтр можно вешать и на вход и на выход.
В другом, работающем примере можно сделать немного по другому и потом:
interface FastEthernet4
ip inspect Protect out
Но проблема в том, что на ФА4 я могу это повесить, а на ФА1 почему-то не вешается.
Как это сделать?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру